Azure AD用户无法登录Azure VM（已配置AD域加入及管理员角色）求助

• 验证VM的AAD域加入状态
  登录Azure门户，找到目标VM，进入标识 > Azure AD，确认状态为“已加入”。若能通过本地管理员账号远程连接VM，打开命令提示符运行dsregcmd /status，检查AzureAdJoined和EnterpriseJoined状态是否为YES。

• 确认用户角色分配范围
  确保“Azure Virtual Machine Administration User”角色是分配到目标VM、其所在资源组或订阅，而非仅Azure AD租户级别；同时检查角色分配的有效时间，确认未过期。

• 检查VM本地组权限
  用本地管理员登录VM，打开计算机管理 > 本地用户和组 > 组，查看Administrators组是否包含Azure AD\Azure Virtual Machine Administration Users或具体AAD用户账号。若未包含，运行命令手动添加：
  net localgroup administrators /add "Azure AD\<你的AAD用户名>"

• 验证网络与AAD连通性
  检查VM的NSG规则是否允许出站访问login.microsoftonline.com等AAD相关端点（端口443）；在VM上运行nslookup login.microsoftonline.com，确认能正常解析到正确IP地址。

• 确认登录格式正确性
  登录时必须使用UPN格式（如user@yourdomain.onmicrosoft.com），或AzureAD\<用户名>格式，不能仅输入用户名。

• 重置AAD域连接状态
  若以上步骤均无效，尝试重置域连接：

  1. 本地管理员登录VM，运行dsregcmd /leave退出AAD域；
  2. 重启VM后，运行dsregcmd /join重新加入AAD域。

内容的提问来源于stack exchange，提问作者Jinnyroy